WHOOP Morning

核心用法

whoop-morning 是一个与 WHOOP 可穿戴设备深度集成的自动化技能，每日清晨自动拉取用户的恢复指数（Recovery）、睡眠质量（Sleep）及周期压力值（Cycle/Strain）三大核心指标，并基于算法生成当日的运动与恢复建议。

显著优点

1. 数据闭环自动化：无需手动打开 WHOOP App，Cron 定时任务即可将关键生理指标推送至用户终端，实现「零摩擦」晨间健康简报。
2. 官方 OAuth2 认证：采用 WHOOP 官方认证流程（offline + read:recovery/read:sleep/read:cycles/read:profile 权限），数据传输全程加密，符合现代 API 安全标准。
3. Token 自动刷新机制：内置 Refresh Token 轮换处理，减少手动重新授权频率。
4. 高度可定制：用户可自由配置 Cron 触发时间，输出格式易于集成至 Gateway 消息系统或其他自动化工作流。

潜在缺点与局限性

• 权限范围较窄：仅支持只读权限，无法写入或修改 WHOOP 数据，不具备反向控制设备的能力。
• Token 并发风险：WHOOP 会轮换 Refresh Token，若多实例并行运行可能导致授权失效，需手动排查并重新执行 whoop-auth。
• API 稳定性依赖：WHOOP 官方 API 字段或可用性可能变更，存在 401/400 错误导致服务中断的风险。
• 硬件绑定：功能完全依赖 WHOOP 可穿戴设备，无设备用户无法使用。
• 地域与账号限制：需 WHOOP 订阅会员资格，部分地区或企业账号可能存在 API 访问限制。

适合人群

• 已持有 WHOOP 3.0/4.0 设备的运动员、CrossFit 爱好者、耐力运动训练者
• 追求 HRV（心率变异性）指导训练的量化健身人群
• 需要自动化晨间报告以减少决策疲劳的高效能用户
• 已部署 Clawdbot/Gateway 自动化基础设施的技术爱好者

常规风险

• OAuth Token 泄露：WHOOP_CLIENT_ID、WHOOP_CLIENT_SECRET 及 WHOOP_REFRESH_TOKEN 存储于本地 ~/.clawdbot/.env，需确保文件权限严格限制（建议 chmod 600），避免容器或多用户环境泄露。
• 授权范围误配置：若 scopes 遗漏 offline，将无法获取 Refresh Token，导致每日需手动重新授权。
• API 限流与封号：高频调用 WHOOP API 可能触发速率限制，建议合理设置 Cron 间隔（如每日 1 次）。
• 健康建议非医疗级：算法建议基于通用运动科学，不构成医疗诊断，伤病恢复期用户应咨询专业医师。

核心用法

whoop-morning 是一款面向 WHOOP 穿戴设备用户的晨间健康数据检查工具。该 Skill 通过 WHOOP OAuth2 认证流程获取用户授权，每日自动拉取三大核心健康指标：Recovery（恢复指数）、Sleep（睡眠数据）和 Cycle/Strain（运动负荷），并基于这些数据生成简洁的当日建议报告。

使用流程分为三步：首先在 ~/.clawdbot/.env 配置 OAuth 凭证，然后运行 whoop-auth 脚本完成一次性授权获取 Refresh Token，最后通过 whoop-morning 命令生成晨间报告。推荐配合 Gateway cron 实现每日自动化推送，让用户在早晨第一时间获取身体状态洞察。

显著优点

官方 API 集成：直接对接 WHOOP 生产环境 API（api.prod.whoop.com），数据来源权威可靠，避免第三方抓包或逆向工程带来的不稳定性和合规风险。

极简架构设计：代码仅 143 行，核心逻辑 36 行，无第三方依赖，仅使用 Node.js 内置模块，显著降低供应链攻击面和维护复杂度。

本地化安全存储：Token 缓存遵循 Linux XDG 规范存放于 ~/.cache/whoop-morning/，配合环境变量管理敏感凭证，符合最小权限原则。

隐私优先：无遥测追踪、无云端中间服务器、不收集用户数据，完全本地化处理，满足 GDPR 数据最小化要求。

潜在缺点与局限性

品牌绑定限制：仅支持 WHOOP 生态，无法兼容 Apple Watch、Garmin、Fitbit 等其他穿戴设备，用户群体受限。

OAuth 维护成本：WHOOP 采用 Refresh Token 轮换机制，需避免并发刷新；若遭遇 401/400 错误需手动重新授权，对非技术用户存在一定门槛。

功能单一性：当前版本仅提供数据读取和建议生成，不支持历史趋势分析、数据导出或与其他健康平台（如 Apple Health、Strava）的同步。

个人维护风险：项目由个人开发者（borahm）维护，未指定开源许可证，长期更新支持和社区生态建设存在不确定性。

适合的目标群体

• WHOOP 忠实用户：已佩戴 WHOOP 手环且希望自动化晨间数据检视的健身爱好者
• 量化生活实践者：关注 HRV、睡眠评分、运动负荷等生物标志物的健康数据极客
• Agent 自动化用户：希望将健康数据流集成到个人知识管理系统或每日工作流的技术用户
• 隐私敏感型用户：不愿将健康数据上传至第三方云平台，偏好本地化处理的保守用户

使用风险

Token 安全风险：当前版本以明文 JSON 存储 OAuth Token，若设备被物理访问或遭遇恶意软件，存在凭证泄露风险。建议后续版本引入系统密钥环加密。

API 可用性风险：WHOOP API 字段和可用性可能变更，官方未承诺长期稳定支持；若 API 调整可能导致 Skill 功能中断。

并发刷新风险：多实例同时运行可能触发 WHOOP 的 Token 轮换冲突，导致授权失效。需确保 cron 调度间隔合理，避免任务重叠。

健康建议局限性：生成的建议基于通用算法，非医疗级诊断，用户不应据此调整药物治疗或忽视专业医疗建议。